漏洞可能是危害最嚴重的風險，所有安全人員一旦發現漏洞都會嘗試所有方法來修復它，比如打補丁、軟件升級等，顯然打補丁是解決漏洞的最佳辦法。然而，并非所有情況安全人員都會在第一時間通過打補丁完成漏洞修復，比如（1）軟件供應商還沒有發布補丁；（2）在客戶的IT環境中，修復該漏洞的優先級并不高，具體修復安排還在排隊中。      

在這種情況下，安全人員可以通過更改操作系統或應用程序中的特定配置來減輕漏洞風險帶來的“鎮痛”。下面，將OpenSSH X連接回話劫持漏洞為例，詳細闡述如何通過基線檢查，主動發現所有沒有進行相關配置的應用系統，并且通過合規配置來縮減風險攻擊面。      

OpenSSH是一種開放源碼的SSH協議的實現方式，初始版本用于OpenBSD平臺，現已被移植到多種Unix/Linux類操作系統下。在通過X11轉發功能啟用SSH登錄的時候，會出現sshd(8)不能正確地處理無法綁定到IPv4端口但成功綁定到IPv6端口的情況。在這種情況下，使用X11的設備即使沒有被sshd(8)綁定也會連接到IPv4端口，服務器租用，因此無法進行安全的轉發。       

這時，惡意用戶可以在未使用的IPv4端口（如TCP 6010端口）上監聽X11連接。當不知情的用戶登錄并創建X11轉發時，惡意用戶可以捕獲所有通過端口發送的X11數據，這可能泄露敏感信息或允許使用X11轉發的用戶的權限執行命令。      

合規基線：讓你在風險來臨時不再“焦頭爛額”      

對于那些可以通過特定配置就可以降低風險的情況，青藤云安全的合規基線系統可以協助檢查系統審核，并報告那些沒有實現該配置的系統。以OpenSSH X連接回話劫持漏洞為例，用戶通過青藤CIS合規基線檢查找出所有SSH X11 未禁用的那些服務器系統，然后禁用該功能即可避免該風險。

SSH服務配置檢查詳情      

從上述例子可知，合規基線能夠通過識別那些未正確配置的系統，幫助安全團隊盡快更新系統配置來防范風險。因此，對于青藤云安全的用戶而言，無需擔心該漏洞補丁的發布時間，產品一鍵檢查功能就能輕松發現不合規的系統配置，然后進行相關配置修改即可應對風險。這在一定程度上很好地減輕了安全管理人員的焦慮。      

選擇一站式的安全合規解決方案      

合規標準讓運維人員有了檢查默認風險的標桿，但是面對網絡中種類繁雜、數量眾多的設備和軟件，如何快速、有效地檢查設備，又如何集中地收集核查的結果，以及制作風險審核報告，最終識別那些與安全規范不符合的項目，以達到整改合規的要求，這些是網絡安全運維人員面臨的新的難題。青藤合規基線構建了由國內信息安全等級保護要求和CIS（Center for Internet Security）組成的基準要求，涵蓋多個版本的主流操作系統、Web應用、數據庫等。結合這些基線內容，一方面，用戶可快速進行企業內部風險自測，發現問題并及時修復，以滿足監管部門要求的安全條件；另一方面，企業可自行定義基線標準，作為企業內部管理的安全基準。      

1.支持等保/CIS等多重標準、覆蓋各類系統/應用基線      

安全研究人員持續研究國家等級保護政策、CIS基線標準，不斷推進更多基線標準的支持。產品目前支持Centos、Debian、RedHat、SUSE、Windows Server 2008、Windows Server 2012等常用操作系統，同時覆蓋Apache、MongoDB、MySQL等10余種數據庫類、Web服務類應用。      

2.結合資產清點，自動識別服務器需檢查的基線      

在資產細粒度清點的基礎上，根據所選服務器的操作系統、軟件應用等信息，自動篩選出該服務器上需要檢查的系統、應用基線。同時支持一鍵批量創建基線任務，操作簡單易用。  

自動識別服務器需檢查基線      

3.一鍵任務化檢測，基線檢查結果可視化呈現      

合規基線功能設計了靈活可配置的任務式的掃描機制，用戶可快捷創建基線掃描任務。根據檢測需要，國內服務器，自行選擇需要掃描的主機和基線。在完成檢測后，檢查結果將以“檢查項視圖”和“主機視圖”兩種方式可視化呈現，滿足企業個性化的檢測需求。    

一鍵任務化檢測      

4.開放企業自定義基線檢查項能力